Apa itu tembok api? Peraturan, port dan akses rangkaian

Tembok api (firewall) membenarkan atau menyekat trafik rangkaian berdasarkan peraturan. Ia boleh berjalan pada komputer, penghala rumah atau di sempadan rangkaian awan. Peraturan mengawal akses kepada sambungan; ia tidak secara automatik menjadikan aplikasi yang dibenarkan itu selamat.

Cara peraturan tembok api berfungsi

Sesuatu peraturan boleh mengambil kira arah sambungan, alamat, protokol, port dan kadangkala aplikasi. Penghala rumah lazimnya mengehadkan trafik masuk yang tidak diminta, manakala tembok api sistem pengendalian mengawal trafik yang sampai ke peranti itu sendiri. Tembok api yang peka keadaan (stateful) boleh membenarkan balasan kepada sambungan keluar yang telah diwujudkan tanpa membuka setiap port masuk.

Trafik mungkin melalui beberapa lapisan. Kumpulan keselamatan awan boleh membenarkan sesuatu port sedangkan tembok api hos menyekatnya. Peraturan benarkan setempat juga mungkin tidak berkesan apabila penghala tidak memajukan port itu atau penyedia Internet menggunakan NAT gred pembawa. Kenal pasti setiap lapisan sebelum membuat perubahan besar.

Mengapa perkhidmatan tidak dapat dicapai

Semak dahulu bahawa aplikasi sedang berjalan dan mendengar pada protokol, port dan alamat rangkaian yang dijangka. Perkhidmatan yang diikat pada loopback sahaja boleh diakses secara setempat tetapi tidak dari luar. Kemudian periksa peraturan hos, pemajuan pada penghala dan sekatan penyedia. Ujian port luaran boleh menunjukkan kebolehcapaian dari titik pemerhatiannya, tetapi tidak dapat mengenal pasti satu-satunya punca kegagalan.

Bezakan antara sambungan yang ditolak, tamat masa dan ralat pada peringkat aplikasi. Setiap satu membayangkan titik kegagalan yang berbeza, walaupun penapisan boleh mengaburkannya. Uji dari rangkaian yang benar-benar berasingan; sesetengah penghala mengendalikan sambungan ke alamat awamnya sendiri secara berbeza daripada trafik luar. Untuk menyemak kebolehcapaian dari luar rangkaian anda, gunakan semakan port terbuka 2IP; hasil tertutup masih memerlukan semakan tembok api setempat, NAT dan pendengar.

Perubahan peraturan yang lebih selamat

Benarkan hanya akses yang diperlukan oleh perkhidmatan, sebaik-baiknya daripada alamat sumber yang terhad jika boleh. Pastikan perkhidmatan sentiasa dikemas kini dan wajibkan pengesahan yang sesuai. Dokumenkan sebab sesuatu peraturan wujud dan buang peraturan itu apabila perkhidmatan ditamatkan. Menyekat setiap sambungan keluar boleh merosakkan kemas kini atau DNS, jadi fahami kebergantungan sebelum menggunakan sesuatu peraturan.

Tembok api tidak menghalang pancingan data, muat turun yang tidak selamat atau eksploitasi melalui perkhidmatan yang dibenarkan. Gunakannya bersama kemas kini, sandaran dan keselamatan akaun. Selepas sesuatu perubahan, sahkan bahawa sambungan yang diperlukan berfungsi dan tiada pendedahan yang tidak disengajakan.

Bagi IPv6, sahkan alamat antara muka dan dasar tembok api yang sebenar, jangan anggap peraturan NAT IPv4 turut terpakai. Aplikasi boleh mendengar pada satu keluarga alamat sedangkan klien mencuba keluarga yang lain.

ICMP bukan sekadar ping

ICMP membawa mesej Echo serta maklumat kawalan dan ralat yang digunakan oleh alat diagnostik dan mekanisme seperti Path MTU Discovery. Menyekatnya secara membuta tuli boleh menimbulkan kegagalan yang sukar dikesan. Lihat ICMP dan MTU.